Descripción del uso compartido de recursos de origen cruzado (CORS)

El uso compartido de recursos de origen cruzado de Adobe Experience Manager (CORS) facilita las propiedades web que no son de AEM para hacer llamadas del lado del cliente a AEM, tanto autenticadas como no autenticadas, para recuperar contenido o interactuar directamente con AEM.

La configuración OSGI que se describe en este documento es suficiente para lograr lo siguiente:

Si se requiere acceso de CORS desde varios orígenes en AEM Publish, consulte esta documentación.

Configuración OSGi de la política del uso compartido de recursos de origen cruzado de Adobe Granite

Las configuraciones de CORS se administran como fábricas de configuración OSGi en AEM, y cada directiva se representa como una instancia de la fábrica.

Adobe Granite Cross-Origin Resource Sharing Policy (com.adobe.granite.cors.impl.CORSPolicyImpl)

Selección de la política

Se selecciona una política comparando lo siguiente:

Se utiliza la primera política que coincida con estos valores. Si no se encuentra ninguna, se denegará cualquier solicitud CORS.

Si no se configura ninguna directiva, tampoco se responde a las solicitudes CORS, ya que el controlador está deshabilitado y, por lo tanto, se deniega de forma efectiva, siempre que ningún otro módulo del servidor responda a CORS.

Propiedades de la política

Orígenes permitidos

Orígenes permitidos (regexp)

Rutas permitidas

Encabezados expuestos

Tiempo máximo

Encabezados compatibles

Métodos permitidos

Credenciales compatibles

Ejemplos de configuraciones

El sitio 1 es un escenario básico, de acceso anónimo y de solo lectura, en el que el contenido se consume a través de solicitudes GET:

{
  "supportscredentials":false,
  "exposedheaders":[
    ""
  ],
  "supportedmethods":[
    "GET",
    "HEAD"
  ],
  "alloworigin":[
    "http://127.0.0.1:3000",
    "https://site1.com"

  ],
  "maxage:Integer": 1800,
  "alloworiginregexp":[
    "http://localhost:.*"
    "https://.*\.site1\.com"
  ],
  "allowedpaths":[
    "/content/_cq_graphql/site1/endpoint.json",
    "/graphql/execute.json.*",
    "/content/site1/.*"
  ],
  "supportedheaders":[
    "Origin",
    "Accept",
    "X-Requested-With",
    "Content-Type",
    "Access-Control-Request-Method",
    "Access-Control-Request-Headers"
  ]
}

El sitio 2 es más complejo y requiere solicitudes autorizadas y mutantes (POST, PUT, DELETE):

{
  "supportscredentials":true,
  "exposedheaders":[
    ""
  ],
  "supportedmethods":[
    "GET",
    "HEAD"
    "POST",
    "DELETE",
    "PUT"
  ],
  "alloworigin":[
    "http://127.0.0.1:3000",
    "https://site2.com"

  ],
  "maxage:Integer": 1800,
  "alloworiginregexp":[
    "http://localhost:.*"
    "https://.*\.site2\.com"
  ],
  "allowedpaths":[
    "/content/site2/.*",
    "/libs/granite/csrf/token.json",
  ],
  "supportedheaders":[
    "Origin",
    "Accept",
    "X-Requested-With",
    "Content-Type",
    "Access-Control-Request-Method",
    "Access-Control-Request-Headers",
    "Authorization",
    "CSRF-Token"
  ]
}

Problemas y configuración del almacenamiento en caché de Dispatcher dispatcher-caching-concerns-and-configuration

A partir de Dispatcher 4.1.1+, los encabezados de respuesta se pueden almacenar en caché. Esto permite almacenar en caché los encabezados CORS junto con los recursos solicitados por CORS, siempre y cuando la solicitud sea anónima.

Por lo general, se pueden aplicar las mismas consideraciones para almacenar en caché el contenido en Dispatcher a los encabezados de respuesta CORS en caché en Dispatcher. La siguiente tabla define cuándo se pueden almacenar en caché los encabezados CORS (y, por lo tanto, las solicitudes CORS).

Permitir encabezados de solicitud CORS

Para permitir que los encabezados de petición HTTP necesarios pasen a AEM para el procesamiento, deben estar permitidos en la configuración /clientheaders de Dispatcher.

/clientheaders {
   ...
   "Origin"
   "Access-Control-Request-Method"
   "Access-Control-Request-Headers"
}

Almacenamiento en caché de los encabezados de respuesta CORS

Para permitir el almacenamiento en caché y el servicio de encabezados CORS en contenido almacenado en caché, añada la siguiente configuración /cache /headers al archivo dispatcher.any de AEM Publish.

/publishfarm {
    ...
    /cache {
        ...
        # CORS HTTP response headers
        # https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS#the_http_response_headers
        /headers {
            ...
            "Access-Control-Allow-Origin"
            "Access-Control-Expose-Headers"
            "Access-Control-Max-Age"
            "Access-Control-Allow-Credentials"
            "Access-Control-Allow-Methods"
            "Access-Control-Allow-Headers"
        }
    ...
    }
...
}

Recuerde reiniciar la aplicación del servidor web después de realizar cambios en el archivo dispatcher.any.

Es probable que se necesite borrar la caché por completo para garantizar que los encabezados se almacenen correctamente en la caché en la siguiente solicitud después de una actualización de la configuración /cache/headers.

Solución de problemas CORS

El registro está disponible en com.adobe.granite.cors:

Sugerencias:

Materiales de referencia